Uma rede global de fraudes cripto impulsionada por modelos da UniApp em mais de 236.000 domínios

Infoblox identificou um fenômeno em massa: mais de 236.000 domínios de segundo nível que hospedam modelos de fraude de investimento construídos com o framework chinês de código aberto DCloud Uni‐App. Esses modelos estão sendo usados para montar falsos exchanges de criptomoedas, operações de “pig-butchering” multilíngues, redes de phishing pelo WhatsApp, cassinos e loterias amanhadas, páginas que suplantam marcas conhecidas e aplicativos que tentam esvaziar carteiras cripto ao induzir a vítima a conectar suas chaves ou aprovar transações.

Que um framework legítimo como a Uni-App seja a base não implica malícia inerente ao projeto, mas explica a velocidade e a escala: os modelos reutilizáveis permitem a operadores de diferentes níveis implantar sites completos com interfaces credíveis em tempo recorde. O próprio framework está documentado publicamente em seu site oficial https://uniapp.dcloud.io/, o que facilita que tanto desenvolvedores honestos como ciberdelinquentes aproveitem os mesmos componentes.

Infoblox traz também indícios de coordenação e profissionalização por trás de grande parte dessas operações: quedas sincronizadas em novos registros de domínio, pegadas técnicas compartilhadas, padrões comuns em como se comunicam com as vítimas e decisões de hospedagem. Essa combinação desenha duas populações distintas: uma “tier” básica onde os operadores usam a assinatura por defeito do framework e costumam ficar em fornecedores mainstream, e uma camada evasiva onde foram removidas as marcas do framework e se recurre mais frequentemente bulletproof hospedagem e táticas de resistência à tomada abaixo.

O risco é real e documentado. Casos como a plataforma RainbowEx, que acabou sendo uma fachada ponzi com dezenas de milhares de vítimas na Argentina e levou a detenções públicas, ilustram a consequência: perda econômica maciça, danos reputacionais e redes de pressão que convertem as vítimas em recrutadores por códigos de convite e promessas de desempenhos. Uma característica recorrente é a porta de entrada através de um “código de convite”, que obriga a vítima a ser recrutada e a transformá-la em agente de expansão do esquema.

As implicações para a segurança pública e privada são amplas. Primeiro, a presença de milhões de modelos fáceis de implantar dificulta a resposta tradicional baseada apenas em fechar domínios individuais; segundo, o uso de fornecedores legítimos como Cloudflare, Alibaba, Tencent e AWS para uma grande parte dos domínios complica a atribuição e aceleração de derrebos; e terceiro, a existência de operadores que empregam infraestrutura resistente a takedowns mostra que as defesas técnicas devem ser complementadas com ações regulatórias e cooperação internacional entre registradores, hosts e forças da ordem.

Para usuários particulares, as recomendações práticas são claras: não ligar seu wallet a sites sem verificar, desconfiar de interfaces que prometem retornos garantidos, evitar introduzir chaves privadas ou aprovar transações assinadas a partir de links recebidos por mensagens, e preferir carteiras de hardware para fundos que não queira arriscar. Rever a idade do domínio e a presença de relatos independentes, confirmar que a comunicação provém de canais oficiais e relatar qualquer sítio suspeito ao seu CERT local ou ao provedor de hospedagem são medidas que reduzem a exposição.

Empresas, plataformas e fornecedores de infra-estruturas também têm trabalho: melhorar a detecção baseada em comportamento e padrões de modelos, partilhar indicadores de compromisso com a comunidade, acelerar os processos de verificação de identidade para serviços financeiros digitais e colaborar com autoridades para desmantelar redes organizadas. Ferramentas de filtragem DNS e soluções de segurança em endpoints podem mitigar a exposição corporativa e de usuários finais.

A descoberta do Infoblox sublinha que a economia da fraude moderna se apoia em cadeias tecnológicas e comerciais que atravessam jurisdições e fornecedores legítimos. A resposta exigirá combinar análises técnicas, ações legais e educação contínua. Para quem quiser aprofundar o relatório e entender a metodologia empregada, Infoblox explica suas descobertas públicas em seu site https://www.infoblox.com/, onde também se discutem tendências em ameaças DNS e abuso de infraestrutura comuns.